Debian DSA-3223-1：ntp - セキュリティ更新

high Nessus プラグイン ID 82745

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

ネットワークタイムプロトコルの実装である ntp に、複数の脆弱性が発見されました：

- CVE-2015-1798 NTP ピアを伴う対称鍵を使用するために構成されている場合、ntpd は、あたかも有効な MAC があるかのように、MAC なしのパケットを許可する可能性があります。これにより、リモートの攻撃者が、パケット認証をバイパスしたり、対称鍵を知ることなく悪意あるパケットを送信する可能性があります。

- CVE-2015-1799 認証された対称関連付けを使用して、他の NTP ホストとピアリングすると、ntpd は、NTP メッセージの MAC が検証される前にその内部状態変数を更新する可能性があります。このため、リモートの攻撃者が NTP ピア間の同期を阻害することにより、サービス拒否を引き起こす可能性があります。

また、ビッグエンディアンマシンで ntp-keygen を使用して MD5 キーを生成すると、無限ループが発生したり、非ランダム鍵が生成されたりすることが判明しました。

ソリューション

ntp パッケージをアップグレードしてください。

安定版（stable）ディストリビューション（wheezy）では、これらの問題はバージョン 1:4.2.6.p5+dfsg-2+deb7u4 で修正されています。

安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン 1:4.2.6.p5+dfsg-7 で修正されています。